Exponovaná databáza APIS obsahovala údaje o viac než 220 miliónoch cestovných záznamov
Výskumníci upozornili na verejne dostupný systém s cestovnými a identifikačnými údajmi, ktorý bol prepojený s Vietnamom. Nie je potvrdené, či niekto dáta skopíroval alebo zneužil.
APIS databáza Vietnam podľa zistenia, o ktorom informoval BleepingComputer, obsahovala 220 783 700 záznamov cestujúcich a členov posádok. Výskumníci ju objavili 3. júna 2026 a uviedli, že prístup bol po nahlásení odstránený 8. júna. Verejné zverejnenie prípadu nasledovalo 8. septembra.
V databáze bolo 210 318 069 záznamov cestujúcich a 10 465 631 záznamov členov posádok. Nejde však o počet unikátnych osôb: systém zahŕňal údaje z obdobia od januára 2017 do apríla 2026, takže jeden človek mohol byť v nej evidovaný opakovane.
APIS databáza Vietnam obsahovala pasové aj letové údaje
Záznamy obsahovali citlivé identifikačné a cestovné informácie. Patrili medzi ne mená, dátumy narodenia, štátna príslušnosť, čísla cestovných dokladov a ich platnosť. Databáza zároveň zahŕňala údaje o letoch a batožine.
APIS, teda systém predbežných informácií o cestujúcich, spracúva údaje používané pri medzinárodnej leteckej doprave. V tomto prípade rozsah záznamov naznačuje medzinárodný dosah, no zo samotnej prítomnosti údajov nemožno vyvodzovať, že boli napadnuté siete jednotlivých leteckých spoločností.
Singapore Airlines podľa BleepingComputer potvrdili, že zapojili relevantné strany a prijali kroky na obmedzenie incidentu. Zverejnené informácie však neuvádzajú úplný zoznam dotknutých dopravcov ani osôb.
Dve chybné konfigurácie a predvolené prihlasovacie údaje
Výskumníci uviedli, že klaster bol dostupný cez kombináciu dvoch chybných konfigurácií, pričom jednou z nich mali byť predvolené prihlasovacie údaje. Systém sa nachádzal v IP priestore pridelenom spoločnosti Viettel v Hanoji.
Táto okolnosť však sama osebe nepotvrdzuje, kto databázu prevádzkoval ani kto nesie zodpovednosť za jej zabezpečenie. Verejne nebolo potvrdené, ktorá konkrétna vietnamská organizácia systém spravovala. K dátumu zverejnenia nebolo dostupné ani verejné stanovisko vietnamského úradu alebo prevádzkovateľa systému.
Prípad poukazuje na riziká nesprávne zabezpečených cloudových prostredí a ponechaných predvolených prihlasovacích údajov, najmä pri systémoch spracúvajúcich pasové a cestovné informácie.
Nie je potvrdené stiahnutie ani zneužitie dát
Najdôležitejšia nezodpovedaná otázka je, či niekto údaje počas dostupnosti systému skopíroval, predal alebo zneužil. Výskumníci nemali prístup k serverovým logom, preto to nevedia potvrdiť ani vylúčiť.
Ak by boli záznamy skopírované, kombinácia údajov z cestovných dokladov a detailov ciest by mohla poslúžiť na presvedčivejšie cielené podvody, phishing alebo sledovanie cestovných vzorcov. Zatiaľ však nejde o potvrdený únik dát do rúk útočníkov.
Kinryū Labs podľa dostupných informácií prisľúbili technickú správu, no zatiaľ ju nezverejnili. Dôležité budú aj prípadné vyjadrenia vietnamských úradov, Viettel, identifikovaného prevádzkovateľa, leteckých spoločností a dozorných orgánov.
Zdroje
- BleepingComputer – Prináša pôvodnú reportáž s rozsahom databázy, typmi údajov, tvrdeným spôsobom prístupu, časovou osou nahlásenia a vyjadrením Singapore Airlines.
- Kinryū Labs – Identifikuje výskumnú skupinu citovanú v reportáži a jej deklarovanú prax oznamovať zistenia dotknutým organizáciám; technická správa k tomuto prípadu zatiaľ verejne dostupná nebola.
Overené a aktualizované: 08. 09. 2026 15:21
